WordPress 7.1.4 Rilis 28 Oktober 2026: 22 Perbaikan Keamanan, Update Sekarang Jangan Tunggu 7.2

WordPress 7.1.4 dirilis pada 28 Oktober 2026 sebagai rilis keamanan yang memperbaiki 22 kerentanan, termasuk race condition pada proses update inti yang berpotensi mengarah ke remote code execution (RCE). WordPress merekomendasikan semua pemilik situs memperbarui segera, tanpa menunggu WordPress 7.2 yang dijadwalkan 8 Desember 2026.

Rilis ini penting karena salah satu celah justru berada di mekanisme update itu sendiri. Menunda dengan alasan "nanti saja saat rilis besar" berarti membiarkan situs berjalan pada versi yang celahnya sudah dipublikasikan. Artikel ini merangkum apa yang diperbaiki, versi patch tiap cabang WordPress, dan checklist update 15 menit yang aman untuk situs produksi — termasuk situs dari source code atau tema WordPress yang dibeli jadi.

Apa itu WordPress 7.1.4?

WordPress 7.1.4 adalah rilis keamanan short-cycle, bukan rilis fitur. Rilis ini dipimpin Aaron Jorbin dan Nik Tsekouras, tiga minggu setelah WordPress 7.1.3 pada 6 Oktober 2026. Tidak ada fitur besar baru yang perlu dipelajari ulang — fokusnya menutup celah yang sudah diketahui.

Fakta yang patut dicatat: 7.1.4 adalah rilis keamanan keempat pada cabang 7.1 dalam enam minggu, setelah 7.1.1 (17 September), 7.1.2 (22 September), dan 7.1.3 (6 Oktober 2026). Situs yang hanya diperbarui sebulan sekali bisa menghabiskan sebagian besar waktunya pada versi yang perbaikannya sudah tersedia. Mengaktifkan update minor otomatis adalah langkah termurah untuk menutup kesenjangan ini.

Apa saja yang diperbaiki di WordPress 7.1.4?

Dokumentasi resmi WordPress menghitung 22 kerentanan pada cabang 7.1:

Dua catatan kejujuran. Pertama, pengumuman resmi tidak merinci syarat eksploitasi race condition — misalnya perlu autentikasi atau kondisi server tertentu — dan tidak mencantumkan skor CVSS maupun ID CVE untuk ke-22 celah ini. Jadi jangan berasumsi situs Anda aman hanya karena tidak membuka pendaftaran pengguna; perbarui dulu. Kedua, sebagian besar celah XSS membutuhkan akun Contributor atau lebih tinggi. Itu mengurangi eksploitasi acak, tetapi tidak menghilangkannya: situs dengan banyak penulis, kontributor tamu, atau akun lama tak terpakai tetap punya permukaan serangan.

Versi patch untuk cabang WordPress lama

WordPress mem-backport perbaikan ini ke semua cabang yang masih berhak menerima update keamanan, sampai cabang 4.7. Anda tidak wajib lompat ke 7.1.4 bila masih di cabang lama — cukup pasang patch cabang Anda. Pengecualian: WordPress 4.6 dan yang lebih lama sudah tidak menerima update keamanan.

Cara tercepat memastikan: buka Dashboard > Updates. WordPress menampilkan versi yang tersedia untuk cabang Anda, jadi Anda tidak perlu menebak dari tabel ini.

Bagaimana cara update ke WordPress 7.1.4 dengan aman?

Untuk situs produksi biasa, proses ini umumnya selesai sekitar 15 menit, belum termasuk waktu backup.

1. Backup dulu, baru update

Buat backup lengkap — file dan database — sebelum menekan tombol update. Bila plugin atau tema ternyata tidak kompatibel, backup adalah satu-satunya jalan kembali yang cepat. Simpan salinannya di luar server situs.

2. Perbarui dari Dashboard

Buka Dashboard > Updates, lalu klik Update Now. Bila update latar belakang otomatis untuk rilis minor aktif, kemungkinan 7.1.4 (atau patch cabang Anda) sudah terpasang sendiri — tetap verifikasi. Situs yang menonaktifkan update otomatis lewat plugin atau konstanta di wp-config.php adalah yang paling sering tertinggal.

3. Verifikasi versi setelah update

Pastikan nomor versi sudah sesuai tabel di atas. Buka satu-dua halaman penting — beranda, satu artikel atau halaman produk, dan halaman checkout bila ada — untuk memastikan tidak ada yang rusak secara kasat mata.

4. Perbarui tema dan plugin setelah core

Perbaikan 7.1.4 menyentuh core dan blok bawaannya, termasuk tema Twenty Twenty yang ikut diperbarui karena skrip Customizer-nya memakai pola yang sama dengan perbaikan selective refresh. Setelah core, periksa update tema dan plugin. Plugin berbasis Interactivity API memang mewarisi hardening dari core, tetapi itu bukan alasan melewatkan update plugin itu sendiri.

5. Bersihkan akun yang tidak perlu

Karena sebagian besar celah XSS membutuhkan akun Contributor ke atas, audit pengguna sekarang: hapus kontributor dan penulis tak aktif, turunkan peran akun yang tak lagi butuh akses tulis. Langkah kecil ini langsung mengecilkan permukaan serangan untuk rilis berikutnya.

6. Aktifkan update minor otomatis

Bila update otomatis nonaktif, aktifkan kembali khusus rilis minor dan keamanan. Empat patch keamanan dalam enam minggu pada cabang 7.1 membuktikan update manual bulanan meninggalkan jendela kerentanan yang lebar.

Apakah update WordPress saja sudah cukup?

Tidak — dan ini kesalahpahaman paling berbahaya minggu ini. Pada periode yang sama, ekosistem PHP diguncang celah PHP2Shell yang dieksploitasi di dunia nyata dan masuk katalog KEV CISA. Celah itu berada pada runtime PHP, bukan WordPress, sehingga update ke 7.1.4 tidak menutup PHP2Shell — dan sebaliknya. Kedua lapisan harus diperbarui: WordPress ke 7.1.4 (atau patch cabang Anda) dan PHP ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai cabang PHP Anda.

Bagi pemilik situs dari source code WordPress, update core dan runtime PHP adalah tanggung jawab pemilik situs setelah serah terima. Bila ragu soal kompatibilitas tema atau plugin, uji dulu di staging. Panduan umum pasca-pembelian juga tetap relevan: baca 9 langkah mengamankan website setelah beli source code.

Kapan cara ini tidak cocok?

1. Kustomisasi inti berat. Bila file core WordPress dimodifikasi langsung (bukan lewat child theme atau plugin), update bisa menimpa modifikasi itu. Uji di staging dan dokumentasikan dulu modifikasinya.
2. Belum pernah di-backup. Jangan update situs tanpa backup teruji. Buat dan uji backup dulu; update bisa menunggu satu jam, kehilangan data tidak bisa di-undo.
3. WordPress 4.6 atau lebih lama. Tidak ada patch untuk cabang ini. Rencanakan migrasi bertahap lewat staging, bukan update sekali jalan ke 7.1.4.
4. WordPress 7.2 Beta 3 bukan pengganti. Beta sudah memuat perbaikan yang berlaku, tetapi beta adalah versi uji, bukan untuk situs produksi.

Apa hubungan 7.1.4 dengan WordPress 7.2?

WordPress 7.1.4 adalah rilis short-cycle: tugasnya menutup celah sekarang, bukan menambah fitur. WordPress 7.2 dijadwalkan 8 Desember 2026, dan beta ketiganya sudah memuat perbaikan yang berlaku dari 7.1.4. Menunggu 7.2 berarti membiarkan situs berjalan lebih dari sebulan pada versi yang celahnya sudah dipublikasikan. Urutan yang benar: pasang 7.1.4 sekarang, rencanakan upgrade ke 7.2 saat versi finalnya rilis dan sudah diuji dengan tema serta plugin Anda.

Kesimpulan

WordPress 7.1.4 (28 Oktober 2026) menutup 22 kerentanan, yang paling serius berupa race condition pada proses update inti yang berpotensi mengarah ke RCE. Perbaikannya di-backport hingga cabang 4.7, jadi hampir semua situs punya jalur patch tanpa lompat mayor. Langkahnya singkat: backup, update dari Dashboard > Updates, verifikasi versi, perbarui tema dan plugin, bersihkan akun tak terpakai, dan pastikan update keamanan otomatis aktif. Jangan lupa lapisan kedua: tambal juga PHP dari PHP2Shell.

FAQ

Apakah WordPress 7.1.4 wajib diinstal?

Ya, bila situs Anda memakai WordPress. Ini rilis keamanan dan WordPress merekomendasikan update segera. Menunda sampai 7.2 (8 Desember 2026) membiarkan celah yang sudah dipublikasikan tetap terbuka lebih dari sebulan.

Apa celah paling berbahaya di WordPress 7.1.4?

Race condition pada proses update inti yang berpotensi mengarah ke RCE, dilaporkan Umut Bayram. Pengumuman resmi tidak merinci syarat eksploitasinya, sehingga tidak ada dasar menganggap situs tertentu kebal — perbarui saja.

Saya masih memakai WordPress 6.9, apakah harus naik ke 7.1.4?

Tidak harus. Pasang 6.9.11, yang memuat seluruh 22 perbaikan. Naik mayor ke 7.1 adalah keputusan terpisah yang sebaiknya diuji di staging.

Apakah situs WordPress 4.6 atau lebih lama masih bisa ditambal?

Tidak. Cabang 4.6 dan yang lebih lama sudah tidak menerima update keamanan. Rencanakan migrasi ke cabang yang masih didukung, diuji lewat staging.

Apakah update ke 7.1.4 juga memperbaiki celah PHP2Shell?

Tidak. PHP2Shell adalah celah runtime PHP, bukan WordPress. Perbarui PHP ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai cabang Anda, di samping update WordPress.

Apakah WordPress 7.2 Beta 3 bisa dipakai sebagai pengganti 7.1.4?

Tidak untuk situs produksi. Beta adalah versi uji. Situs live sebaiknya memakai 7.1.4 (atau patch cabangnya) dan menunggu versi final 7.2 pada 8 Desember 2026.

Bagaimana cara memeriksa apakah update otomatis sudah berjalan?

Buka Dashboard > Updates dan periksa nomor versi terpasang. Bila masih di bawah patch cabang Anda, kemungkinan update otomatis dinonaktifkan plugin atau konstanta di wp-config.php — periksa dan aktifkan kembali untuk rilis keamanan.

Sumber resmi: pengumuman WordPress 7.1.4 dan dokumentasi Version 7.1.4 di WordPress.org.